网络安全协议

《网络安全协议》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、TCP/IP—协议分析与应用编程第十三章网络安全协议主要内容网络安全概述网络层安全协议传输层安全协议应用层安全协议学习目标理解网络层安全协议IPSec。熟悉传输层安全协议SSL。了解应用层安全系统PGP。网络安全概述网络信息安全主要包括两个方面：信息的保密性和通信的可靠性。信息的保密性主要是通过加密来实现，目前主要有两种加密技术，即保密密钥加密和公开密钥加密；实现通信可靠性的技术有数字签名和基于第三方授权证书的认证技术等。因特网各种安全协议就是将这些技术进行有效的结合以提供安全服务。网络层安全协议网络层安全协议（InternetProtocolSecu

2、rity，IPSec）是IETF提供因特网安全通信的一系列规范之一，它提供私有信息通过公用网的安全保障。IPSec能提供的安全服务包括访问控制、无连接的完整性、数据源认证、拒绝重发包（部分序列完整性形式）、保密性和有限传输流保密性。IPSec的基本目的是把密码学的安全机制引入IP，通过使用现代密码学方法支持保密和认证服务，使用户能有选择地使用，并得到所期望的安全服务。网络层安全协议IPSec主要包含3个功能域：鉴别机制、机密性机制和密钥管理。鉴别机制确保收到的报文来自该报文首部所声称的源实体，并保证该报文在传输过程中未被非法篡改；机密性机制使得通信内容

3、不会被第三方窃听；密钥管理机制则用于配合鉴别机制和机密性机制处理密钥的安全交换。网络层安全协议IPSec体系结构IPSec给出了应用于IP层上网络数据安全的一整套体系结构，包括IP首部鉴别协议（AuthenticationHeader，AH）和封装安全载荷协议（EncapsulatingSecurityPlayload，ESP）、密钥管理协议（InternetKeyExchange，IKE）和用于网络验证及加密的一些算法等。网络层安全协议IPSec体系结构网络层安全协议IPSec体系结构SA是构成IPSec的基础，是两个通信实体经协商（利用IKE协议）

4、建立起来的一种协定，它决定了用来保护数据分组安全的安全协议（AH协议或者ESP协议）、转码方式、密钥及密钥的有效存在时间等。SA可以表示为一个三元组：SA=（SPI、IPDA、SPR）SPI（SecurityParameterIndex，安全参数索引），是一个32bit的值，用于区分相同目的地和相同IP的不同SA。其出现在AH和ESP的首部，接收方根据首部中的SPI确定对应的SA。IPDA为IP目的地址。SPR为安全协议标识，如AH或ESP。网络层安全协议IPSec体系结构因特网密钥交换协议IKE是IPSec默认的安全密钥协商方法。IKE通过一系列报文

5、交换为两个实体（如网络终端或网关）进行安全通信派生会话密钥。安全策略数据库（SecurityPolicyDatabase，SPD）中包含一个策略条目的有序表，通过使用一个或多个选择符来确定每一个条目。选择符可以是五元组（目的/源地址，协议，目的/源端口号），或其中几个。每个条目中包含：策略（包括丢弃、绕过、加载IPSec）、SA规范、IPSec（AH或ESP）、操作模式、算法、对外出处理等网络层安全协议IPSec体系结构安全关联库（SecurityAssociationDatabase，SAD）包含现行的SA条目，每个SAD条目主要包含：序列号计数器：

6、32位整数，用于生成AH或ESP头中的序列号。序列号溢出：是一个标志，标识是否对序列号计数器的溢出进行审核。抗重放窗口：使用一个32位计数器和位图确定一个输入的AH或ESP数据包是否是重放包。AH的认证算法和所需密钥。ESP的认证算法和所需密钥。ESP加密算法，密钥，初始向量（IV）和IV模式。IPSec操作模式。路径最大传输单元（PMTU）。SA生存期。网络层安全协议鉴别首部协议IP首部鉴别AH协议为IP通信提供数据源认证、数据完整性和反重播保证，它能保护通信免受篡改，但不能防止窃听，适合用于传输非机密数据。AH的工作原理是在每一个数据报上添加一个鉴

7、别首部。此首部包含一个带密钥的哈希散列，该哈希散列在整个数据报中计算，因此对数据的任何更改将致使散列无效，从而对数据提供了完整性保护。网络层安全协议鉴别首部协议AH首部位置IP数据报首部和传输层协议首部之间，主要包括：网络层安全协议鉴别首部协议AH首部位置IP数据报首部和传输层协议首部之间，主要包括：下一个首部：识别下一个使用IP协议号的首部。有效负载长度：AH首部长度。安全参数索引：这是一个为数据报识别安全关联的32位伪随机值。SPI值0被保留来表明“没有安全关联存在”。序列号：从1开始的32位单增序列号，不允许重复，唯一地标识了每一个发送数据包，为

8、安全关联提供反重播保护。接收端校验序列号为该字段值的数据包是否已经被接收过，若是，则拒收该数据